D19 · L3 · 04 — L2 · Supply Chain GovernanceL2 · Gobierno de la Cadena de Suministro

Trade sanctions & export controls: OFAC, BIS & Denied Party ScreeningSanciones comerciales y controles de exportación: OFAC, BIS y Denied Party Screening

The transaction with a sanctioned party that slipped through undetected can trigger fines in the hundreds of millions.

La transacción con parte sancionada que pasó sin detección puede generar multas de cientos de millones.

01What it isQué es

Sanctions and export control compliance is the set of checks that stops the company from dealing with prohibited parties or destinations — screening every counterparty against official lists — and from shipping controlled items without the right classification and license.

El cumplimiento de sanciones y controles de exportación es el conjunto de verificaciones que impide que la empresa opere con partes o destinos prohibidos —revisando a cada contraparte contra las listas oficiales— y que envíe artículos controlados sin la clasificación y la licencia correctas.

02Why it mattersPor qué importa

OFAC civil liability is strict: a shipment to a listed party is a violation even if nobody knew, and penalties can reach twice the transaction value. OFAC expects a risk-based program built on five components — management commitment, risk assessment, internal controls, testing and auditing, and training (OFAC, 2019 — A Framework for OFAC Compliance Commitments, U.S. Department of the Treasury). For Mexican exporters the exposure is real because the EAR follows US-origin components into products made and shipped from Mexico.

La responsabilidad civil ante OFAC es objetiva: un embarque a una parte listada es una violación aunque nadie lo supiera, y las sanciones pueden llegar al doble del valor de la transacción. OFAC espera un programa basado en riesgo con cinco componentes: compromiso de la dirección, evaluación de riesgos, controles internos, pruebas y auditoría, y capacitación (OFAC, 2019 — A Framework for OFAC Compliance Commitments, U.S. Department of the Treasury). Para los exportadores mexicanos la exposición es real, porque las EAR siguen a los componentes de origen estadounidense dentro de productos fabricados y enviados desde México.

03How it is doneCómo se hace

1
Screen every party, every time. Check customers, suppliers, forwarders, brokers and banks against SDN, Entity and EU lists at onboarding, on any data change and on every list update.
2
Classify before you ship. Assign an ECCN or a confirmed EAR99 to every exported item and block orders for controlled items until destination and end use are cleared.
3
Hold, document, then release. Stop any transaction with an open hit until Compliance clears it, and keep the screening evidence for at least 10 years.
1
Revisar a cada parte, cada vez. Cotejar clientes, proveedores, agentes de carga, agentes aduanales y bancos contra las listas SDN, Entity y de la UE en el alta, ante cualquier cambio de datos y con cada actualización de listas.
2
Clasificar antes de enviar. Asignar un ECCN o un EAR99 confirmado a cada artículo exportado y bloquear pedidos de artículos controlados hasta validar destino y uso final.
3
Retener, documentar y luego liberar. Detener toda transacción con una coincidencia abierta hasta que Cumplimiento la libere, y conservar la evidencia de la revisión al menos 10 años.

04The concept in depthEl concepto a fondo

🚫Trade sanctions and export controls: the regulatory landscape that can stop a shipment or trigger criminal prosecution›
Trade sanctions and export controls are the legal frameworks that restrict commercial transactions with certain countries, entities, and individuals for national security, foreign policy, and anti-proliferation reasons. For supply chain professionals, this is one of the compliance areas with the highest potential financial and criminal liability from a single mistake. The key regulators: (1) OFAC (Office of Foreign Assets Control, US Treasury): administers comprehensive sanctions programs on countries such as Cuba, Iran and North Korea, list-based and sectoral programs such as those on Russia, and the SDN (Specially Designated Nationals) list. US persons may not deal with SDN-listed parties or entities 50% or more owned by them. Civil penalties under IEEPA reach the greater of an inflation-adjusted per-violation maximum (above $370K USD) or twice the transaction value; willful violations carry criminal fines up to $1M USD and up to 20 years in prison. (2) BIS (Bureau of Industry and Security, US Commerce): administers the Export Administration Regulations (EAR), which control the export of dual-use goods and technology that could be used for military applications. Violations carry civil penalties on a similar scale (per violation or twice the transaction value) plus criminal prosecution. (3) OFSI (UK Office of Financial Sanctions Implementation, HM Treasury) and EU sanctions: parallel sanctions regimes that apply to UK and EU-connected transactions.
📊Denied Party Screening (DPS): the automated control that prevents sanctions violations›
Denied Party Screening (DPS) is the process of checking every company or individual involved in a supply chain transaction against published sanctions and denied party lists before executing the transaction. Lists checked: OFAC SDN (US), BIS Entity List, BIS Denied Persons List, BIS Unverified List, OFSI (UK), EU Consolidated Sanctions List, INTERPOL Notices, UN Security Council Sanctions List, and hundreds of additional country-specific lists. DPS must cover: suppliers, customers, freight forwarders, customs brokers, banks, and all other intermediaries in the transaction. Frequency: screening must occur at new relationship initiation AND every time the party’s information changes, AND real-time or near-real-time for high-volume transaction environments because sanctions lists change frequently, sometimes several times a week.
🔢Export controls: the supply chain implications of dual-use technology›
Export controls under BIS EAR regulate the export of items with both commercial and potential military applications: encryption technology, certain chemicals, semiconductor manufacturing equipment, and advanced electronic components. Supply chain implications: (1) Classification: every exported product must be classified under an ECCN (Export Control Classification Number). Products with an EAR99 classification can generally be exported without a license. Products with a specific ECCN may require an export license for certain destinations or end-users. (2) End-user and end-use controls: even for items not requiring a license, BIS prohibits export to parties who will use the goods for prohibited purposes (chemical weapons, nuclear programs, missile development). (3) Red flag indicators: due diligence is required when supply chain red flags suggest a potential end-user concern (orders for unusual quantities, requests to remove standard safety features, requests for rush delivery to high-risk destinations). (4) Reach: the EAR follows US-origin items wherever they are and can apply to foreign-made items with more than de minimis US content — so a Mexican manufacturer re-exporting US components is in scope.
🏆Intermediate vs. Advanced›
Intermediate: understands the basic sanctions and export control framework; escalates transactions with potential sanctions or DPS issues; follows the screening protocol for new customers and suppliers.

Advanced: manages the DPS program; classifies products under ECCN; manages export license applications; trains supply chain teams on sanctions and export control compliance.
🚫Sanciones comerciales y controles de exportación: el marco regulatorio que puede detener un embarque o desencadenar un proceso penal›
Las sanciones comerciales y los controles de exportación son los marcos legales que restringen las transacciones comerciales con ciertos países, entidades e individuos por razones de seguridad nacional, política exterior y no proliferación. Para los profesionales de supply chain, es una de las áreas de cumplimiento con mayor responsabilidad financiera y penal potencial derivada de un solo error. Los reguladores clave: (1) OFAC (Office of Foreign Assets Control, Departamento del Tesoro de EE. UU.): administra programas de sanciones integrales contra países como Cuba, Irán y Corea del Norte, programas basados en listas y sectoriales como los relativos a Rusia, y la lista SDN (Specially Designated Nationals). Las personas estadounidenses no pueden operar con partes de la lista SDN ni con entidades que estas posean en 50% o más. Las sanciones civiles conforme a IEEPA alcanzan lo que resulte mayor entre un máximo por violación ajustado por inflación (más de $370K USD) y el doble del valor de la transacción; las violaciones dolosas conllevan multas penales de hasta $1M USD y hasta 20 años de prisión. (2) BIS (Bureau of Industry and Security, Departamento de Comercio de EE. UU.): administra las Export Administration Regulations (EAR), que controlan la exportación de bienes y tecnología de doble uso que podrían tener aplicaciones militares. Las violaciones conllevan sanciones civiles de escala similar (por violación o el doble del valor de la transacción) más proceso penal. (3) OFSI (Office of Financial Sanctions Implementation del Tesoro británico) y sanciones de la UE: regímenes de sanciones paralelos que aplican a transacciones vinculadas con el Reino Unido y la UE.
📊Denied Party Screening (DPS): el control automatizado que previene violaciones de sanciones›
El Denied Party Screening (DPS, revisión de partes restringidas) es el proceso de cotejar a cada empresa o persona involucrada en una transacción de la cadena contra las listas públicas de sanciones y partes restringidas antes de ejecutar la transacción. Listas revisadas: OFAC SDN (EE. UU.), BIS Entity List, BIS Denied Persons List, BIS Unverified List, OFSI (Reino Unido), Lista Consolidada de Sanciones de la UE, notificaciones de INTERPOL, Lista de Sanciones del Consejo de Seguridad de la ONU y cientos de listas adicionales específicas de cada país. El DPS debe cubrir: proveedores, clientes, agentes de carga, agentes aduanales, bancos y cualquier otro intermediario de la transacción. Frecuencia: la revisión debe hacerse al iniciar la relación Y cada vez que cambie la información de la parte, Y en tiempo real o casi real en entornos con alto volumen de transacciones, porque las listas de sanciones cambian con frecuencia, a veces varias veces por semana.
🔢Controles de exportación: las implicaciones de la tecnología de doble uso para supply chain›
Los controles de exportación de las EAR de BIS regulan la exportación de artículos con aplicaciones comerciales y potencialmente militares: tecnología de cifrado, ciertos químicos, equipo para fabricación de semiconductores y componentes electrónicos avanzados. Implicaciones para supply chain: (1) Clasificación: todo producto exportado debe clasificarse con un ECCN (Export Control Classification Number). Los productos con clasificación EAR99 generalmente pueden exportarse sin licencia. Los productos con un ECCN específico pueden requerir licencia de exportación para ciertos destinos o usuarios finales. (2) Controles de usuario y uso final: aun para artículos que no requieren licencia, BIS prohíbe exportar a partes que usarán los bienes para fines prohibidos (armas químicas, programas nucleares, desarrollo de misiles). (3) Señales de alerta: se requiere debida diligencia cuando hay señales que sugieren un problema con el usuario final (pedidos en cantidades inusuales, solicitudes para retirar funciones de seguridad estándar, solicitudes de entrega urgente a destinos de alto riesgo). (4) Alcance: las EAR siguen a los artículos de origen estadounidense dondequiera que estén y pueden aplicar a artículos fabricados en el extranjero con contenido estadounidense superior al de minimis; por eso un fabricante mexicano que reexporta componentes de EE. UU. está dentro del alcance.
🏆Intermedio vs. Avanzado›
Intermedio: entiende el marco básico de sanciones y controles de exportación; escala transacciones con posibles problemas de sanciones o DPS; sigue el protocolo de revisión para nuevos clientes y proveedores.

Avanzado: gestiona el programa de DPS; clasifica productos por ECCN; gestiona solicitudes de licencias de exportación; capacita a los equipos de supply chain en cumplimiento de sanciones y controles de exportación.

05In practiceEn la práctica

🚫Screen all supply chain counterparties — not just customers — including freight forwarders, customs brokers, and banks in the transaction chain›
OFAC violations can occur through the supply chain intermediary layer: if a freight forwarder the company uses is SDN-listed, transactions routed through them constitute a sanctions violation even if the underlying buyer and seller are clean. DPS must cover every entity in the transaction chain.
🔢Never process a transaction with a potential DPS hit until it has been reviewed and cleared by the Compliance team — shipping first and investigating later generates a sanctions violation›
The OFAC enforcement standard is that a transaction with an SDN-listed entity is a violation regardless of whether the company knew about the listing at the time of the transaction. Shipping first and investigating later — which some operational teams attempt to avoid delivery delays — generates the violation the DPS program is designed to prevent.
🔗Classify the entire export product portfolio under ECCN before encountering an export control issue — EAR99 classification is not a default; it requires active confirmation›
EAR99 is not a default classification — it must be confirmed by analyzing the product against the US Commerce Control List. A product incorrectly classified as EAR99 that actually requires a specific ECCN generates export violations without any intent to violate. Full portfolio classification is a one-time investment, followed by annual review and reclassification whenever products change.
📊Maintain documentation of DPS screening results for at least 10 years — OFAC’s statute of limitations and recordkeeping requirement were extended from 5 to 10 years (2024–2025)›
OFAC enforcement investigations routinely request evidence that DPS screening was conducted at the time of the transaction. Without records showing that the counterparty was screened and cleared, the company cannot show it had an effective compliance program — one of the main mitigating factors under OFAC’s Enforcement Guidelines.
🚫Revisar a todas las contrapartes de la cadena —no solo a los clientes—, incluidos agentes de carga, agentes aduanales y bancos de la cadena de la transacción›
Las violaciones de OFAC pueden ocurrir en la capa de intermediarios: si un agente de carga que usa la empresa está en la lista SDN, las transacciones que pasan por él constituyen una violación de sanciones aunque comprador y vendedor estén limpios. El DPS debe cubrir a cada entidad de la cadena de la transacción.
🔢Nunca procesar una transacción con una posible coincidencia de DPS hasta que Cumplimiento la revise y la libere: enviar primero e investigar después genera una violación de sanciones›
El estándar de aplicación de OFAC es que una transacción con una entidad de la lista SDN es una violación, sepa o no la empresa que estaba listada al momento de la transacción. Enviar primero e investigar después —algo que algunos equipos operativos intentan para evitar retrasos en la entrega— genera justamente la violación que el programa de DPS busca prevenir.
🔗Clasificar todo el portafolio de productos de exportación por ECCN antes de enfrentar un problema de control de exportaciones: EAR99 no es una clasificación por omisión; requiere confirmación activa›
EAR99 no es una clasificación por omisión: debe confirmarse analizando el producto contra la Commerce Control List de EE. UU. Un producto clasificado por error como EAR99 que en realidad requiere un ECCN específico genera violaciones de exportación sin intención alguna de violar la ley. La clasificación de todo el portafolio es una inversión única, seguida de una revisión anual y de reclasificación cada vez que cambian los productos.
📊Conservar la documentación de los resultados de DPS al menos 10 años: el plazo de prescripción y la obligación de conservar registros de OFAC se ampliaron de 5 a 10 años (2024–2025)›
Las investigaciones de OFAC solicitan de forma rutinaria evidencia de que se hizo la revisión de DPS al momento de la transacción. Sin registros que muestren que la contraparte se revisó y se liberó, la empresa no puede demostrar que tenía un programa de cumplimiento efectivo, uno de los principales atenuantes conforme a las Enforcement Guidelines de OFAC.

06Illustrative caseCaso ilustrativo

Illustrative case built from typical industry values — not data from a specific company.Caso ilustrativo construido con valores típicos de la industria — no son datos de una empresa específica.
Illustrative case: Denied Party Screening implementation — Mexican manufacturer exporting to US and EU markets
The company implements an automated DPS system after a compliance audit identifies that no screening was occurring for supply chain counterparties.
DPS program componentPre-implementation statusPost-implementation
Customer and supplier screening coverage (% of supply chain counterparties screened against OFAC SDN and key sanction lists)0% automated screening · Manual checks performed only for new US customers · No screening for suppliers, freight forwarders, or EU customers100% of new customers, suppliers, and freight forwarders screened at onboarding · Monthly rescreening of entire active counterparty database (4,200 entities) · Real-time alerts when sanctions lists are updated
DPS hits requiring investigation in first 6 monthsN/A (no screening in place)18 potential hits identified in first 6 months · 15 confirmed false positives (name matching) resolved in <24 hours · 2 required enhanced due diligence (resolved as legitimate entities with similar names) · 1 confirmed match: supplier on the EU consolidated list under Russia-related sanctions · Supplier relationship immediately suspended, legal counsel engaged
Export license compliance for controlled productsNo product ECCN classification · No export license process · 3 products later identified as requiring a specific ECCN and a license for some destinations · Open quotes to customers in high-risk destinations cancelledFull ECCN classification completed for export product portfolio · EAR99: 87% of products · Specific ECCN (may require license): 13% · Export license obtained for 2 controlled products with EU customers in scope
Result: DPS implementation: 1 confirmed sanctioned entity identified and relationship suspended — continuing to trade with it would have exposed the company to EU sanctions penalties and, if the party were also SDN-listed or the deal had a US nexus, to OFAC civil penalties that can reach twice the transaction value per violation. 3 products correctly classified under specific ECCN and licensed. Compliance program cost: $180K MXN/year (DPS software + training). Avoided liability: potentially many times the program cost in the case of the confirmed sanctioned entity match.
Illustrative case built from typical industry values — not data from a specific company.Caso ilustrativo construido con valores típicos de la industria — no son datos de una empresa específica.
Caso ilustrativo: implementación de Denied Party Screening — fabricante mexicano que exporta a EE. UU. y la UE
La empresa implementa un sistema automatizado de DPS después de que una auditoría de cumplimiento detectó que no se revisaba a ninguna contraparte de la cadena.
Componente del programa de DPSSituación antes de la implementaciónDespués de la implementación
Cobertura de revisión de clientes y proveedores (% de contrapartes de la cadena revisadas contra OFAC SDN y las principales listas de sanciones)0% de revisión automatizada · Revisiones manuales solo para nuevos clientes en EE. UU. · Sin revisión de proveedores, agentes de carga ni clientes en la UE100% de nuevos clientes, proveedores y agentes de carga revisados en el alta · Re-revisión mensual de toda la base de contrapartes activas (4,200 entidades) · Alertas en tiempo real cuando se actualizan las listas de sanciones
Coincidencias de DPS que requirieron investigación en los primeros 6 mesesN/A (sin revisión implementada)18 posibles coincidencias en los primeros 6 meses · 15 falsos positivos confirmados (coincidencia de nombres) resueltos en <24 horas · 2 requirieron debida diligencia reforzada (resueltas como entidades legítimas con nombres similares) · 1 coincidencia confirmada: proveedor en la lista consolidada de la UE por sanciones relacionadas con Rusia · Relación con el proveedor suspendida de inmediato, asesoría legal involucrada
Cumplimiento de licencias de exportación para productos controladosSin clasificación ECCN de productos · Sin proceso de licencias de exportación · 3 productos identificados después como sujetos a un ECCN específico y a licencia para algunos destinos · Cotizaciones abiertas a clientes en destinos de alto riesgo canceladasClasificación ECCN completa del portafolio de exportación · EAR99: 87% de los productos · ECCN específico (puede requerir licencia): 13% · Licencia de exportación obtenida para 2 productos controlados con clientes en la UE dentro del alcance
Resultado: implementación de DPS: 1 entidad sancionada confirmada e identificada, con relación suspendida; seguir operando con ella habría expuesto a la empresa a sanciones de la UE y, si la parte también estuviera en la lista SDN o la operación tuviera nexo con EE. UU., a sanciones civiles de OFAC que pueden llegar al doble del valor de la transacción por violación. 3 productos clasificados correctamente con ECCN específico y con licencia. Costo del programa de cumplimiento: $180K MXN/año (software de DPS + capacitación). Responsabilidad evitada: potencialmente muchas veces el costo del programa en el caso de la coincidencia confirmada.

07How it is measuredCómo se mide

🚫DPS Coverage Rate % (% of active supply chain counterparties screened against current sanctions lists in the last 30 days)›
DPS Coverage Rate % (% of active supply chain counterparties screened against current sanctions lists in the last 30 days)
(Active customers, suppliers, freight forwarders, and intermediaries screened against OFAC SDN + key sanction lists within the last 30 days / Total active supply chain counterparties) × 100
Benchmark: 100% DPS coverage is the mandatory target · Rescreening frequency: monthly minimum for all active counterparties, real-time for high-volume transacting parties
⚠️ A DPS coverage rate of 0% means the company has no systematic control preventing transactions with OFAC-sanctioned entities. A single transaction with an SDN-listed entity can generate OFAC civil penalties of up to twice the transaction value per violation — even if the company did not know the party was sanctioned, because civil liability is strict.
📊DPS False Positive Rate % (% of DPS hits that are confirmed false positives after investigation)›
DPS False Positive Rate % (% of DPS hits that are confirmed false positives after investigation)
(DPS hits confirmed as false positives after investigation / Total DPS hits generated) × 100
Benchmark: High false positive rates are normal for name-based DPS — most alerts are cleared as different entities with similar names · Rates near 100% with large alert volumes suggest overly loose fuzzy matching and alert fatigue · Rates near 0% suggest overly strict matching that may be missing real hits
🔑 Alert fatigue from high false positive volumes is a primary DPS program failure mode: when investigators see 200 false positive alerts per day, the 1 real hit gets buried in the noise. Calibrating the matching algorithm — and using secondary identifiers such as address, country, and tax ID — to keep alert volumes manageable is the primary DPS operational challenge.
🚫Tasa de cobertura de DPS % (% de contrapartes activas de la cadena revisadas contra las listas de sanciones vigentes en los últimos 30 días)›
Tasa de cobertura de DPS % (% de contrapartes activas de la cadena revisadas contra las listas de sanciones vigentes en los últimos 30 días)
(Clientes, proveedores, agentes de carga e intermediarios activos revisados contra OFAC SDN + principales listas de sanciones en los últimos 30 días / Total de contrapartes activas de la cadena) × 100
Referencia: 100% de cobertura de DPS es la meta obligatoria · Frecuencia de re-revisión: mínimo mensual para todas las contrapartes activas, en tiempo real para las de alto volumen de transacciones
⚠️ Una tasa de cobertura de DPS de 0% significa que la empresa no tiene ningún control sistemático que impida transacciones con entidades sancionadas por OFAC. Una sola transacción con una entidad de la lista SDN puede generar sanciones civiles de OFAC de hasta el doble del valor de la transacción por violación, aunque la empresa no supiera que la parte estaba sancionada, porque la responsabilidad civil es objetiva.
📊Tasa de falsos positivos de DPS % (% de coincidencias de DPS confirmadas como falsos positivos tras la investigación)›
Tasa de falsos positivos de DPS % (% de coincidencias de DPS confirmadas como falsos positivos tras la investigación)
(Coincidencias de DPS confirmadas como falsos positivos tras la investigación / Total de coincidencias de DPS generadas) × 100
Referencia: Las tasas altas de falsos positivos son normales en un DPS basado en nombres: la mayoría de las alertas se descarta por tratarse de entidades distintas con nombres parecidos · Tasas cercanas a 100% con grandes volúmenes de alertas sugieren una coincidencia difusa demasiado laxa y fatiga de alertas · Tasas cercanas a 0% sugieren una coincidencia demasiado estricta que podría estar dejando pasar coincidencias reales
🔑 La fatiga de alertas por grandes volúmenes de falsos positivos es un modo de falla principal de los programas de DPS: cuando los investigadores ven 200 alertas falsas al día, la única coincidencia real queda enterrada en el ruido. Calibrar el algoritmo de coincidencia —y usar identificadores secundarios como domicilio, país y RFC o tax ID— para mantener un volumen de alertas manejable es el principal reto operativo del DPS.

08What you would useQué se usa

📌 Sanctions & Export Control Platforms
🟦Descartes Visual Compliance / E2open (formerly Amber Road) / SAP GTS›
Module: Automated DPS + Export License Management

Descartes Visual Compliance, E2open (which acquired Amber Road in 2019), and SAP GTS are reference platforms for automated Denied Party Screening against hundreds of sanctions and restricted-party lists and export license management for dual-use product compliance.
🟧OFAC (ofac.treasury.gov) / BIS SNAP-R / EU Sanctions Map›
Module: Official Regulatory Compliance Resources

OFAC’s official SDN list (updated frequently), the US government’s Consolidated Screening List (trade.gov), BIS’s SNAP-R portal for export license applications, and the EU Sanctions Map are the official government resources that complement commercial DPS platforms for sanctions and export control compliance.
📌 Plataformas de sanciones y control de exportaciones
🟦Descartes Visual Compliance / E2open (antes Amber Road) / SAP GTS›
Módulo: DPS automatizado + gestión de licencias de exportación

Descartes Visual Compliance, E2open (que adquirió Amber Road en 2019) y SAP GTS son plataformas de referencia para el Denied Party Screening automatizado contra cientos de listas de sanciones y partes restringidas, y para la gestión de licencias de exportación de productos de doble uso.
🟧OFAC (ofac.treasury.gov) / BIS SNAP-R / EU Sanctions Map›
Módulo: Recursos regulatorios oficiales de cumplimiento

La lista oficial SDN de OFAC (actualizada con frecuencia), la Consolidated Screening List del gobierno de EE. UU. (trade.gov), el portal SNAP-R de BIS para solicitudes de licencia de exportación y el EU Sanctions Map son los recursos gubernamentales oficiales que complementan a las plataformas comerciales de DPS para el cumplimiento de sanciones y controles de exportación.
The bottom lineEn corto

Screen first, ship second — a delayed order costs days, a sanctions violation costs the company.

Primero revisar, después enviar: un pedido retrasado cuesta días; una violación de sanciones cuesta la empresa.

All D19 componentsTodos los componentes de D19D19 artifactsArtifacts de D19SCRA